Definieren von GPOs

Abgeschlossen

Das Gruppenrichtlinienfeature von Windows Betriebssystemen hat eine Infrastruktur bereitgestellt, mit der Administratoren Einstellungen zentral definieren und dann auf Computern in ihren Organisationen bereitstellen können.

IT-Mitarbeiter von Contoso können ihre gesamte Konfiguration mithilfe von GPO-Einstellungen definieren, erzwingen und aktualisieren. Mithilfe von GPO-Einstellungen können sie eine Reihe von Konfigurationseinstellungen auf einen gesamten Standort oder eine Domäne innerhalb ihrer Organisation anwenden, oder sie können den Fokus auf eine einzelne ORGANISATIONSeinheit einschränken, die eine Abteilung darstellt.

Tipp

Durch Filterung basierend auf der Zugehörigkeit zu Sicherheitsgruppen und den Attributen für physische Computer kann Contoso das Ziel für die GPO-Einstellungen noch weiter verfeinern.

Was ist eine Gruppenrichtlinie?

Gruppenrichtlinie ist ein Framework in Windows-Betriebssystemen mit Komponenten, die sich in AD DS, auf Domänencontrollern und auf jedem Windows Server und Client befinden. Mit diesen Komponenten können Sie die Konfiguration in einer AD DS Domäne verwalten. Sie definieren Gruppenrichtlinieneinstellungen innerhalb eines Gruppenrichtlinienobjekts (Group Policy Object, GPO). Bei einem GPO handelt es sich um ein Objekt, das eine oder mehrere Richtlinieneinstellungen enthält, die für eine oder mehrere Konfigurationseinstellungen eines Benutzers oder Computers gelten.

Gruppenrichtlinien sind ein leistungsfähiges Verwaltungstool. Mithilfe von GPOs können Sie verschiedene Einstellungen auf eine Vielzahl von Benutzern und Computern übertragen. Da Sie sie auf verschiedene Ebenen anwenden können, von dem lokalen Computer auf die Domäne, können Sie diese Einstellungen auch genau konzentrieren. Gruppenrichtlinien werden hauptsächlich zum Konfigurieren von Einstellungen verwendet, die Benutzer nicht konfigurieren sollen. Darüber hinaus können Sie gruppenrichtlinien verwenden, um Desktopumgebungen auf allen Computern in einer Organisationseinheit (OU) oder in einer gesamten Organisation zu standardisieren. Sie können auch Gruppenrichtlinien verwenden, um zusätzliche Sicherheit bereitzustellen, einige erweiterte Systemeinstellungen zu konfigurieren und für andere Zwecke, die in einer nachfolgenden Demonstrationseinheit behandelt werden.

Was sind GPOs?

Ein Gruppenrichtlinienobjekt (Group Policy Object, GPO) ist eine Sammlung von Gruppenrichtlinieneinstellungen. Eine einzelne Richtlinieneinstellung definiert eine bestimmte Konfiguration, z. B. eine Richtlinieneinstellung, die verhindert, dass ein Benutzer auf Tools für die Bearbeitung der Registrierung zugreifen kann. Wenn Sie diese Richtlinieneinstellung definieren und dann auf einen Benutzer anwenden, kann dieser Benutzer keine Tools wie "Regedit.exe" ausführen.

Einige Einstellungen, sogenannte Benutzerkonfigurationseinstellungen oder Benutzerrichtlinien, wirken sich auf einen Benutzer aus. Andere Einstellungen, sogenannte Computerkonfigurationseinstellungen oder Computerrichtlinien, wirken sich auf Computer aus.

Von Bedeutung

Einstellungen wirken sich nicht direkt auf Gruppen aus und gelten nur für Benutzer- und Computerobjekte.

Mit Gruppenrichtlinien werden verschiedene Richtlinieneinstellungen verwaltet und das Gruppenrichtlinien-Framework ist erweiterbar. Sie können nahezu jede konfigurierbare Einstellung mit Gruppenrichtlinien verwalten.

So definieren Sie eine Richtlinieneinstellung:

1. Suchen Sie im Gruppenrichtlinienverwaltungs-Editor nach der Richtlinieneinstellung und drücken Sie dann die EINGABETASTE. Das Dialogfeld "Eigenschaften" der Richtlinieneinstellung wird angezeigt.
2. Ändern Sie den Richtlinienstatus in "Aktiviert " oder "Deaktiviert". Die meisten Richtlinieneinstellungen können drei Status aufweisen: "Nicht konfiguriert", "Aktiviert" und "Deaktiviert".
3. Wenn erforderlich, konfigurieren Sie zusätzliche Werte, und wählen Sie nach Abschluss "OK" aus.

GPOs speichern Gruppenrichtlinieneinstellungen. In einem neuen GPO weist jede Richtlinieneinstellung standardmäßig den Status Nicht konfiguriert auf. Wenn Sie eine Richtlinieneinstellung aktivieren oder deaktivieren, ändert Windows Server die Konfiguration von Benutzern und Computern, auf die das GPO angewendet wird.

So erstellen Sie ein neues GPO in einer Domäne:

1. Klicken Sie mit der rechten Maustaste auf den Container Gruppenrichtlinienobjekte, um das Kontextmenü zu öffnen, und wählen Sie dann Neu aus.
2. Wenn Sie die Konfigurationseinstellungen in einem Gruppenrichtlinienobjekt ändern möchten, klicken Sie mit der rechten Maustaste, oder greifen Sie auf das Kontextmenü für das Gruppenrichtlinienobjekt zu, und wählen Sie dann "Bearbeiten" aus. Dadurch wird das Snap-in "Gruppenrichtlinienverwaltungs-Editor" geöffnet.

Der Gruppenrichtlinienverwaltungs-Editor zeigt alle Richtlinieneinstellungen an, die in einem Gruppenrichtlinienobjekt in einer organisierten Hierarchie verfügbar sind, die mit der Aufteilung zwischen Computereinstellungen und Benutzereinstellungen beginnt: dem Knoten " Computerkonfiguration " und dem Knoten " Benutzerkonfiguration ".

GPOs werden in einem Container namens "Gruppenrichtlinienobjekte" angezeigt. Die nächsten beiden Ebenen der Hierarchie sind Knoten mit dem Namen "Richtlinien und Einstellungen". Im Gruppenrichtlinienverwaltungs-Editor werden hierarchisch angeordnete Ordner angezeigt, sogenannte Knoten oder Richtlinieneinstellungsgruppen. Die Richtlinieneinstellungen befinden sich in den Ordnern.

Computerkonfiguration und Benutzerkonfiguration

Im oberen Bereich jedes Gruppenrichtlinienobjekts sind die Einstellungen in zwei Knoten unterteilt. Diese Unterteilung ist die wichtigste strukturelle Unterscheidung in einem Gruppenrichtlinienobjekt, da sie bestimmt, was von jeder Einstellung betroffen ist:

• Die Computerkonfiguration enthält Einstellungen, die auf einen Computer angewendet werden, unabhängig davon, in welchem Benutzer sich anmeldet. Diese Einstellungen definieren das Verhalten des Betriebssystems, die Sicherheitskonfiguration, das Start- und Herunterfahren von Skripts sowie systemweite Anwendungseinstellungen. Beispiele sind Kennwort- und Kontosperranforderungen, Dienststartverhalten und Einstellungen, die Windows Komponenten für jeden Benutzer des Geräts steuern.
• Die Benutzerkonfiguration enthält Einstellungen, die für einen Benutzer gelten, unabhängig davon, bei welchem Computer sich der Benutzer anmeldet. Diese Einstellungen definieren die Desktopumgebung, z. B. das Erscheinungsbild des Startmenüs, Anmelde- und Abmeldeskripts, Ordnerumleitung und Einschränkungen für die Tools und Systemsteuerung Elemente, auf die ein Benutzer zugreifen kann.

Viele Einstellungen werden nur in einem der beiden Knoten angezeigt, da sie nur für einen Computer oder nur für einen Benutzer relevant sind. Einige Einstellungen werden in beiden Knoten angezeigt, in diesem Fall konfiguriert jede Instanz ihr eigenes Ziel.

Richtlinien und Einstellungen

Sowohl in den Knoten "Computerkonfiguration " als auch " Benutzerkonfiguration " werden einstellungen unter zwei weiteren Knoten (Richtlinien und Einstellungen) gruppiert, die sich unterschiedlich verhalten:

• Richtlinien enthalten verwaltete Einstellungen, die von Group Policy durchgesetzt werden. Ein Benutzer kann in der Regel keine verwaltete Einstellung ändern, und wenn die GPO nicht mehr gilt, wird die Einstellung wieder auf ihren vorherigen Wert zurückgesetzt. Die meisten Richtlinieneinstellungen schreiben in geschützte Bereiche der Registrierung.
• Einstellungen enthalten Einstellungen, die eine anfängliche Konfiguration einrichten, die ein Benutzer anschließend ändern kann. Präferenzen werden nicht erzwungen und standardmäßig nicht entfernt, wenn das GPO nicht mehr gilt. Einstellungselemente unterstützen auch die Zielgruppenadressierung auf Elementebene, wodurch ein einzelnes Element nur angewendet werden kann, wenn definierte Bedingungen wie ein bestimmtes Betriebssystem, eine Sicherheitsgruppe oder ein Computername erfüllt sind.

Der praktische Unterschied zwischen den beiden Ergibt sich aus der Erzwingung, Persistenz und dem Schreiben der Konfiguration durch den Client. Richtlinien werden verwaltet: Der Client schreibt sie in vier reservierte, eingeschränkte Registrierungsschlüssel (die Richtlinienzweige unter HKEY_LOCAL_MACHINE und HKEY_CURRENT_USER), und eine konforme Windows-Anwendung liest diese Schlüssel und deaktiviert die entsprechende Benutzeroberfläche, sodass der Benutzer den Wert nicht außer Kraft setzen kann. Da Richtlinien in diesem reservierten Bereich gespeichert sind, werden sie bei jeder Aktualisierung der Gruppenrichtlinien entfernt und neu geschrieben. Wenn das Gruppenrichtlinienobjekt nicht mehr im Geltungsbereich liegt – weil es gelöscht, die Verknüpfung aufgehoben oder es vom Ziel herausgefiltert wird –, verschwindet der Wert, und die Einstellung kehrt zu ihrem Standardwert zurück. Dieses Aktualisierungs- und Wiederherstellungsverhalten ist der Grund, warum Richtlinien gut für Einstellungen geeignet sind, die Sie sperren und kontinuierlich durchsetzen möchten. Einstellungen sind dagegen nicht verwaltet: Der Client schreibt sie in die gleichen Registrierungs- und Dateisystemspeicherorte, die ein Benutzer oder Administrator manuell konfigurieren würde, sodass die Einstellung identisch mit einem Satz von Hand und der Schnittstelle aussieht, die sie steuert, bleibt vollständig verfügbar. Eine Einstellung „prägt“ sich daher in die Konfiguration ein – sie bleibt auch dann bestehen, wenn das GPO nicht mehr angewendet wird, es sei denn, Sie wählen für dieses Element ausdrücklich die Option Einmal anwenden und nicht erneut anwenden oder die Option Dieses Element entfernen, wenn es nicht mehr angewendet wird. Präferenzen bieten eine Flexibilität, die Richtlinien nicht bieten, einschließlich der Zielgruppenadressierung auf Elementebene für eine granulare bedingte Anwendung, mehrerer Aktionen pro Element (Erstellen, Ersetzen, Aktualisieren und Löschen) sowie der Möglichkeit, Elemente zu konfigurieren, für die es überhaupt keine Richtlinieneinstellung gibt, z. B. Laufwerkszuordnungen, Verknüpfungen, geplante Aufgaben und Mitgliedschaften in lokalen Gruppen. Als Faustregel gilt: Verwenden Sie eine Richtlinie, wenn eine Einstellung verbindlich sein und automatisch auf den ursprünglichen Wert zurückgesetzt werden soll, und verwenden Sie eine Voreinstellung, wenn Sie eine sinnvolle Ausgangskonfiguration bereitstellen möchten, die Benutzer weiterhin anpassen können oder die nur auf einen Teil der Computer oder Benutzer abzielt.

Der Knoten "Richtlinien"

Der Knoten "Richtlinien " enthält drei Unterordner sowohl in der Computerkonfiguration als auch in der Benutzerkonfiguration:

• Softwareeinstellungen enthalten die Softwareinstallationserweiterung , die Sie zum Bereitstellen von Anwendungen auf Computern oder Benutzern verwenden.
• Windows Settings enthält Einstellungen, die das Betriebssystem konfigurieren. Allgemeine Elemente sind Scripts (Start und Herunterfahren für Computer, Anmeldung und Abmeldung für Benutzer), Security Settings (z. B. Kontorichtlinien, lokale Richtlinien und Windows Defender Firewall), Name Resolution Policy und Deployed Printers. Unter Benutzerkonfiguration enthält dieser Ordner auch Ordnerumleitung.
• Administrative Templates enthält Hunderte von registrierungsbasierten Einstellungen, die in Ordnern wie Systemsteuerung organisiert sind, Network, System, Printers und Windows Components. Jede Einstellung in diesem Ordner entspricht einem bestimmten Registrierungswert, der das Verhalten von Windows oder einer Anwendung steuert.

Der „Einstellungen“-Knoten

Der Knoten "Einstellungen" organisiert Einstellungselemente in verwandte Gruppen:

• Windows Settings enthält Elemente wie Drive Maps, Environment, Files, Folders, Registry und Shortcuts.
• Systemsteuerung Settings enthält Elemente wie Data Sources, Devices, Local Users and Groups, Power Options, Printers, Scheduled Tasks, und Services.

Die Struktur einer einzelnen Richtlinieneinstellung

Eine einzelne Richtlinieneinstellung ist das granularste Element eines GPO, aber jede Einstellung ist mehr als ein einfacher An-/Aus-Schalter. Wenn Sie eine Einstellung öffnen, werden im Dialogfeld "Eigenschaften " mehrere Elemente verfügbar gemacht:

• Der Status der Einstellung – Nicht konfiguriert, aktiviert oder deaktiviert.
• Alle zusätzlichen Optionen oder Werte , die verfügbar werden, wenn die Einstellung aktiviert ist. Wenn Sie beispielsweise eine Richtlinie für die minimale Kennwortlänge aktivieren, müssen Sie die Anzahl der Zeichen angeben.
• Ein erläuternder Hilfetextbereich , der beschreibt, was die Einstellung tut und wie die Optionen interagieren.
• Unterstützt von Informationen, die die Betriebssystemversionen und -anwendungen identifizieren, die die Einstellung berücksichtigen. Bei einem Ziel, das die Anforderung nicht erfüllt, wird die Einstellung ignoriert.

Da die meisten Richtlinieneinstellungen registrierungsbasiert sind, bewirkt das Aktivieren oder Deaktivieren einer Einstellung, dass der Client einen entsprechenden Wert in die Registrierung schreibt. Wenn eine Einstellung auf "Nicht konfiguriert" zurückgesetzt wird, entfernt die Gruppenrichtlinie diesen Wert, und die Konfiguration wird auf die Standardeinstellung zurückgesetzt.

Was sind Starter-Gruppenrichtlinienobjekte?

Sie können ein Starter-Gruppenrichtlinienobjekt als Vorlage verwenden, aus der andere GPOs in der Gruppenrichtlinien-Verwaltungskonsole erstellt werden. Starter-Gruppenrichtlinienobjekte verfügen nur über Einstellungen für administrative Vorlagen. Sie können ein Starter-Gruppenrichtlinienobjekt verwenden, um einen Ausgangspunkt für die Erstellung neuer GPOs in Ihrer Domäne bereitzustellen. Das Starter-Gruppenrichtlinienobjekt weist u. U. bereits bestimmte Einstellungen auf, die für Ihre Umgebung am besten geeignet sind. Sie können Starter-Gruppenrichtlinienobjekte in CAB-Dateien exportieren und daraus importieren, um eine einfache und effiziente Verteilung an andere Umgebungen zu ermöglichen.

Hinweis

Die Gruppenrichtlinien-Verwaltungskonsole speichert Start-GPOs in einem Ordner namens StarterGPOs, der sich in SYSVOL befindet.

Hinweis

SYSVOL ist ein freigegebener Ordner auf Domänencontrollern.

Microsoft stellt vorkonfigurierte Starter-Gruppenrichtlinienobjekte für Windows-Clientbetriebssysteme zur Verfügung. Diese Start-GPOs verfügen über Administrative Vorlageneinstellungen , die bewährte Methoden widerspiegeln, die Microsoft für die Konfiguration der Clientumgebung empfiehlt.